"Souveränität zeigt sich manchmal erst an dem Tag, an dem man gehen will"

Was bedeutet echte Datensouveränität in der Cloud konkret?

Roman Schweizer: Im Kern geht es um Kontrolle und Wahlfreiheit. Kontrolle heisst, ich weiss jederzeit, wo meine Daten liegen, wer darauf zugreifen kann und welchem Recht sie unterstehen. Wahlfreiheit heisst, ich kann meine Entscheidung revidieren, ohne dass es mich ruiniert. Konkret prüfe ich das auf vier Ebenen. Rechtlich: Kann eine ausländische Behörde etwa über den US Cloud Act – potenziell ohne mein Wissen – auf die Daten zugreifen? Operativ: Wer betreibt meine Systeme und hat Admin-Zugriff? Physisch: Wo liegen die Daten inklusive Backups und Logfiles? Und wirtschaftlich: Kann ich den Provider ohne unverhältnismässige Kosten wechseln? Ein anschauliches Beispiel: Ein Rechenzentrum in Zürich allein macht noch keine souveräne Cloud. Entscheidend ist zum Beispiel auch, wer den Schlüssel zum Serverraum hat und an wen er oder sie rapportiert.

Welche Abhängigkeiten lassen sich auch mit einer souveränen Cloud kaum vermeiden?

Souveränität ist kein Entweder-oder, sondern es ist eine Position auf einem Spektrum zwischen Autarkie und Fremdbestimmung. Beide Extreme sind unrealistisch. Prozessoren und die meisten anderen Hardware- sowie viele Softwarekomponenten stammen aus den USA oder Asien. Völlige Autarkie wäre weder bezahlbar noch innovativ. Die Kunst besteht darin, sich auf diesem Spektrum bewusst zu positionieren: Abhängigkeiten gezielt zu wählen und so zu gestalten, dass kein Lieferant den Stecker ziehen oder Daten herausverlangen kann. Ein Haus aus importierten Baumaterialien gehört mir, solange mein Name im Grundbuch steht.

Wie viel technisches Know-how müssen Unternehmen selbst behalten, um in der Cloud souverän zu bleiben?

Man muss weder eigene Rechenzentren noch die IT-Infrastruktur selbst betreiben. Es sollte aber innerhalb des Unternehmens oder durch die Zusammenarbeit mit Partnerunternehmen genügend Know-how vorhanden sein, um entlang der ganzen Lieferkette die richtigen Fragen zu stellen. Ich nenne das Bestellerkompetenz. Unternehmen müssen die Datenflüsse kennen, ihre Architektur verstehen und wissen, wo welche Daten liegen. Wer dieses Wissen auslagert, lagert auch die Entscheidungsfähigkeit aus. Hier bringen Managed-Service-Provider und IT-Dienstleistungsunternehmen die technische Expertise ein, während das Unternehmen den Überblick und das letzte Wort behält.

Wie können Unternehmen überprüfen, ob ein Cloud-Anbieter seine Souveränitätsversprechen tatsächlich einhält?

Drei einfache Fragen bringen viel ans Licht: Wem gehört der Anbieter, und untersteht die Muttergesellschaft ausländischem Recht? Wer hat Zugriff auf die Systeme – und dies auch im Supportfall um drei Uhr nachts? Und wie steht es in Sachen Umgang mit Behördenanfragen? Dazu kommen unabhängige Prüfberichte, Zertifizierungen wie ISO 27001 und ein vertragliches Auditrecht. Mein Tipp: Nicht die Marketingbroschüre lesen, sondern den Vertrag und die Liste der Unterauftragnehmer. Dort steht die Wahrheit.

In einem Beitrag vom Juni 2026 schreiben Sie, dass sich immer mehr Schweizer Unternehmen bewusst gegen globale Clouds entscheiden. Wie nachhaltig ist dieser Wandel?

Die Entwicklung ist nachhaltiger, als viele denken. Es gibt Stimmen, die mit dem Ende der aktuellen US-Regierung eine Rückkehr zur alten Ordnung erwarten. Diese Sicht teile ich nicht. Das Pendel mag ab 2028 etwas zurückschwingen, aber der Schaden ist angerichtet. Wie gross die Abhängigkeit tatsächlich ist, hat der Fable-Vorfall bei Anthropic im Juni schmerzlich gezeigt: Eine Anordnung aus Washington ­– und schon war ein KI-Modell über Nacht für Kundinnen und Kunden weltweit abgeschaltet. So etwas vergessen IT-Verantwortliche nicht und gerade regulierte Branchen und der öffentliche Sektor wollen sich langfristig vor einer derart absoluten Abhängigkeit schützen. Solche Entscheide trifft man für zehn Jahre, nicht für eine Legislatur. Globale Clouds werden nicht verschwinden. Aber die Frage "Welche Anwendung gehört wohin?" wird heute viel bewusster gestellt.

Was kostet digitale Souveränität tatsächlich – und welche Kosten werden dabei gerne übersehen?

Die Infrastrukturkosten, die man jährlich, monatlich oder abhängig vom Verbrauch bezahlt, sind relativ einfach zu steuern. Teuer­ und unberechenbar wird es anderswo: Gebühren für den Datentransfer aus der Cloud, Lizenzmodelle, die sich über Nacht ändern, und Migrationskosten, wenn man doch wechseln will. Die grösste übersehene Position ist aber der Preis der Abhängigkeit selbst, den man oft auf einen Schlag bezahlt. Dies passiert dann, wenn man keine Wahl mehr hat, weil Neukundinnen und -kunden wegbleiben, die verstärkt auf souveräne Lösungen achten. Souveränität ist wie eine Versicherung. Und die günstigste Versicherung ist jene, die man abschliesst, bevor es brennt.

Wie verändert der KI-Boom die Anforderungen an eine souveräne Cloud-Infrastruktur?

Wir bewegen uns zuweilen in einer widersprüchlichen Welt. Einerseits werden Datenhoheit und Souveränität lautstark eingefordert. Andererseits nutzen Mitarbeitende in vielen Unternehmen KI ohne jegliche Einschränkung. Früher hat man lange gezögert, einzelne Applikationen in eine Hyperscaler-Cloud auszulagern. Heute lagert man quasi das Hirn des Unternehmens aus, also sein kollektives Wissen und die Unternehmensintelligenz. Das halte ich für fragwürdig. KI verschärft die Souveränitätsfrage massiv. Wer Kundendaten, Verträge oder Quellcode in ein KI-Modell gibt, gibt sein wertvollstes Wissen aus der Hand. Gleichzeitig braucht KI Rechenleistung, die heute knapp und auf wenige Hyperscaler konzentriert ist. Für souveräne Anbieter heisst das: KI-Infrastruktur muss auch lokal verfügbar sein, damit Unternehmen Modelle in der Schweiz betreiben und mit eigenen Daten nutzen können. Daten sind das Gold der KI-Ära. Wir engagieren uns aktiv im AI Cluster Zug mit dem Ziel, souveräne KI-Infrastruktur anzubieten.

Gibt es Kompromisse, die Finanzunternehmen beim Thema Cloud eingehen müssen, die andere Branchen nicht kennen?

Ja. Finanzinstitute müssen die strengen Finma-Vorgaben zum Outsourcing erfüllen. Ausserdem gibt es da zum Beispiel die Cloud Guidelines der Swiss Bankers Association. Der Schlüssel liegt in einer sauberen Trennung: Kundendaten und kritische Prozesse bleiben auf souveräner Infrastruktur, weniger sensible Arbeitslasten dürfen global laufen. Dazu kommen Prüfrechte für die Aufsicht und Exit-Strategien, die nicht nur auf dem Papier existieren, sondern getestet sind. Andere Branchen können sich heute vielleicht noch eine gewisse Unschärfe leisten, Finanzinstitute nicht.

Wie einfach muss ein Unternehmen seinen Cloud-Anbieter wechseln können, um tatsächlich souverän zu sein?

Es sollte so einfach sein, dass die Option glaubwürdig ist. Souveränität zeigt sich manchmal erst am Tag, an dem man gehen will. Wer seine Daten nur in proprietären Formaten zurückbekommt oder seine Anwendungen auf Spezialdienste eines einzigen Anbieters aufgebaut hat, sitzt in einem Käfig und ist gegenüber den eigenen Kundinnen und Kunden stark exponiert. Offene Standards, portable Workloads und ein vertraglich geregelter Exit sind deshalb Pflicht. Ein Wechsel darf Arbeit machen, aber nicht unmöglich sein.

Welche Weichen müssen Unternehmen heute stellen, damit sie auch in fünf Jahren noch selbst über ihre Daten und Infrastruktur bestimmen können?

Für mich sind fünf Punkte zentral. Erstens: Daten klassifizieren. Wer nicht weiss, welche Daten kritisch sind, kann sie nicht schützen. Zweitens: Bei jedem neuen Dienst die Exit-Frage stellen, bevor man unterschreibt. Drittens: Auf offene Standards und portable Architekturen setzen. Viertens: Souveränität zur Chefsache machen, nicht zur Fussnote im IT-Budget. Und fünftens: Partner wählen, die man in fünf Jahren anrufen kann und die dann noch demselben Recht unterstehen. Souveränität ist kein Produkt, das man einfach kauft. Sie ist eine Haltung, die man jeden Tag pflegen muss.